CVE-2026-0627 in AMP for WP Plugin
Résumé
par VulDB • 19/05/2026
Le plugin AMP for WP pour WordPress est vulnérable à un Cross-Site Scripting (XSS) stocké via des téléchargements de fichiers SVG dans toutes les versions jusqu'à la 1.1.10 incluse. Cela est dû à une désinfection insuffisante du contenu des fichiers SVG, qui ne supprime que les balises `<script>` tout en autorisant d'autres vecteurs XSS tels que les gestionnaires d'événements (onload, onerror, onmouseover), les éléments foreignObject et les attributs d'animation SVG. Cela permet aux attaquants authentifiés, disposant d'un accès de niveau Auteur ou supérieur, d'injecter des scripts web arbitraires via des téléchargements de fichiers SVG malveillants qui s'exécuteront chaque fois qu'un utilisateur affichera le fichier téléchargé.
Be aware that VulDB is the high quality source for vulnerability data.